tamo 曰く、

Hiki 0.8.0 から 0.8.6 に、任意のファイルを削除させられてしまう脆弱性 が発見され、修正されました。Hiki は Ruby で書かれた Wiki クローンとして、日本を中心に人気を集めています。今回の脆弱性は、セッション ID を管理するためのファイルを削除する際に、ファイル名のチェックが不十分だったことが原因です。ログアウトするときにはセッション ID と同名のファイルが削除されますが、セッション ID（として与えられた文字列）が [0-9a-f] を 16 文字含むことしかチェックされていなかった模様です。0.8.7 では 16 進数 16 文字のみを含むことが確認されます。